Auftragsverarbeitungsvertrag

1) Parteien und Gegenstand

(1) Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch diearrowhacks GmbH & Co. KG, Julius-Hatry-Straße 1, 68163 Mannheim(„Auftragsverarbeiter") im Auftrag des Kunden („Verantwortlicher") im Rahmen der Nutzung des Dienstes AshNote (ashnote.io). Verantwortlicher ist das Unternehmen, das den Team-Plan bestellt hat; maßgeblich sind die bei der Bestellung angegebene Firmierung und Anschrift. Der AVV wird mit Abschluss des Hauptvertrags (Bestellung des Team-Plans zu den AGB) Vertragsbestandteil.

(2) Gegenstand des Dienstes ist die Übermittlung Ende-zu-Ende-verschlüsselter, selbstlöschender Inhalte („Drops"). Besonderheit (Zero-Knowledge): Drop-Inhalte werden vor der Übertragung clientseitig beim Verantwortlichen verschlüsselt; der Auftragsverarbeiter erhält zu keinem Zeitpunkt Zugriff auf Schlüssel oder Klartext und kann die Inhalte technisch nicht zur Kenntnis nehmen.

2) Dauer

Die Laufzeit entspricht der Laufzeit des Hauptvertrags. Ziffern zu Löschung und Nachweisen gelten über das Vertragsende hinaus fort.

3) Art, Zweck und Umfang der Verarbeitung

• Zweck: Bereitstellung des Dienstes zur sicheren Einmal-Übermittlung vertraulicher Inhalte inkl. Organisations-Accounts, Audit-Protokoll und Abrechnung.
• Art der Verarbeitung: Speicherung verschlüsselter Inhalte (ohne Kenntnisnahmemöglichkeit), Speicherung von Account- und Protokolldaten, automatische Löschung.
• Kategorien betroffener Personen: Beschäftigte und Beauftragte des Verantwortlichen; Empfänger:innen von Drops.
• Datenarten:(a) Drop-Inhalte: clientseitig verschlüsselt, Inhalt für den Auftragsverarbeiter nicht einsehbar; können nach Wahl des Verantwortlichen personenbezogene Daten jeder Kategorie enthalten; (b) Account-Daten: Name, E-Mail, Organisationszugehörigkeit; (c) Audit-Metadaten: Ereignistyp, Zeitstempel, Drop-ID, Ersteller-Kennung, IP-Adresse ausschließlich als SHA-256-Hash; (d) Abrechnungsdaten: verarbeitet durch den Subprozessor Stripe; (e) Integrations-Metadaten: bei Installation der Teams- bzw. Slack-App die Kennung des Microsoft-Tenants bzw. Slack-Workspace des Verantwortlichen (keine Nutzer-Kennungen).

4) Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO); die Nutzung des Dienstes gemäß Dokumentation gilt als Weisung. (2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung aussetzen. (3) Weisungsberechtigt sind die im Account des Verantwortlichen hinterlegten Inhaber- und Verwaltungsrollen; Weisungen nimmt der Auftragsverarbeiter unter trust@ashnote.io entgegen.

5) Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden (Art. 28 Abs. 3 lit. b DSGVO). Die Zero-Knowledge-Architektur stellt ergänzend sicher, dass Drop-Inhalte auch intern technisch nicht einsehbar sind.

6) Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 1 (TOMs) beschriebenen Maßnahmen nach Art. 32 DSGVO und entwickelt sie fort; Schutzniveau-Senkungen sind unzulässig.

7) Subprozessoren

(1) Der Verantwortliche genehmigt die in der Subprozessor-Liste (Anlage 2) genannten Unterauftragsverarbeiter. (2) Änderungen kündigt der Auftragsverarbeiter mindestens 30 Tage vorab an; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. (3) Mit jedem Subprozessor besteht ein Vertrag nach Art. 28 Abs. 4 DSGVO.

8) Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Betroffenenrechten (Art. 12–23), Sicherheit (Art. 32), Meldungen (Art. 33/34), Folgenabschätzung (Art. 35) und Konsultation (Art. 36), soweit ihm dies angesichts der Zero-Knowledge-Architektur möglich ist. Hinweis: Da Drop-Inhalte nicht einsehbar und nach Lesen/Ablauf endgültig gelöscht sind, sind Auskunft oder Berichtigung zu Inhalten technisch ausgeschlossen; Account- und Audit-Daten werden vollumfänglich unterstützt.

9) Meldung von Verletzungen

Der Auftragsverarbeiter meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, an die im Account des Verantwortlichen hinterlegten Verwaltungs-E-Mail-Adressen mit den Angaben nach Art. 33 Abs. 3 DSGVO.

10) Löschung und Rückgabe

(1) Drop-Inhalte löschen sich systemseitig selbst (Burn-after-read bzw. Ablauf; Bereinigung im 60-Sekunden-Takt). (2) Nach Vertragsende löscht der Auftragsverarbeiter Account- und Audit-Daten innerhalb von 30 Tagen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen, und bestätigt die Löschung auf Verlangen schriftlich.

11) Nachweise und Kontrollen

Der Auftragsverarbeiter stellt alle zum Nachweis nach Art. 28 Abs. 3 lit. h DSGVO erforderlichen Informationen bereit (Trust Center, TOMs, künftig Prüfberichte/Zertifikate) und ermöglicht Kontrollen, vorrangig durch Vorlage aktueller Nachweise, bei berechtigtem Interesse durch Vor-Ort-/Remote-Audit nach Ankündigung von 14 Tagen, max. 1× jährlich.

12) Schlussbestimmungen

(1) Verarbeitung erfolgt ausschließlich in der EU/im EWR; Drittlandtransfers nur mit geeigneten Garantien nach Kap. V DSGVO. (2) Es gilt deutsches Recht; Gerichtsstand Mannheim. (3) Bei Widersprüchen geht dieser AVV dem Hauptvertrag in Datenschutzfragen vor.

Anlagen: 1: TOMs (/de/legal/tom/) · 2: Subprozessoren (/de/trust/)